Cyberzagrożenia 2026 w liczbach: nowa podatność co 6 minut, exploit zanim wyjdzie łatka

W 2018 roku od publicznego ujawnienia podatności do pierwszego ataku mijały średnio 63 dni. Dziś ta liczba wynosi minus siedem. Nie, to nie literówka — atakujący średnio zaczynają wykorzystywać dziurę tydzień przed tym, zanim producent wypuści łatkę. A w tym czasie świat dopisuje do publicznego katalogu nową podatność średnio co 6 minut. 💥

W mojej pracy często zerkam na raporty threat intelligence — trochę jako część obowiązków, a trochę z zawodowej ciekawości. I od dłuższego czasu miałem wrażenie, że liczby, które z nich wynikają, nie składają się ludziom w jeden obraz. Bo każda krąży osobno: tu ktoś wrzuci wykres CVE, tam ktoś procent phishingu z AI. Postanowiłem więc zebrać w jednym miejscu dane, które najlepiej pokazują, jak bardzo zmieniło się pole gry — ile podatności wykrywamy, jak szybko stają się bronią, ile dziur łatają najwięksi, ile nowych błędów sami produkujemy i co do tego wszystkiego dokłada AI.

Do tematu podchodzę z akademickim porządkiem: każda liczba ma tu źródło i rok. A na końcu — sześć wniosków, które z tych danych wynikają wprost dla Twojej firmy.

Spis treści

1. Ile podatności wykrywamy — i dlaczego rekord pada co roku
2. Czas od podatności do ataku: z 63 dni do minus siedmiu
3. Ataki przez dziury w oprogramowaniu rosną lawinowo: z 14% do 31% włamań w dwa lata
4. Ile dziur łatają giganci — Microsoft, Google i spółka
5. Skąd te wszystkie błędy? AI pisze kod szybciej, niż go zabezpieczamy
6. Nowe zagrożenia AI: phishing, deepfake i włamania na autopilocie
7. Polska w liczbach: ponad 700 incydentów dziennie
8. Co z tym zrobić — 6 rzeczy, które wynikają wprost z danych
9. FAQ

Ile podatności wykrywamy — i dlaczego rekord pada co roku

Krótkie wyjaśnienie dla nietechnicznych: CVE to publiczny, światowy katalog podatności — każda ujawniona dziura w oprogramowaniu dostaje swój numer (np. CVE-2026-12345), żeby wszyscy mówili o tym samym błędzie tym samym językiem.

I ten katalog rośnie w tempie, które jeszcze pięć lat temu uznałbym za absurd:

• 2022: 25 084 nowe podatności
• 2023: 29 066 (+16%)
• 2024: 40 313 (+39%)
• 2025: 48 449 (+20%)
• 2026, stan na 19 sierpnia: już 53 803 — więcej niż w całym rekordowym 2025, na cztery i pół miesiąca przed końcem roku. To jest właśnie ta jedna nowa podatność co 6 minut.

(Liczby za cvedetails.com, według dat publikacji w bazie NVD, stan na 19.08.2026. Inne metodologie — np. coroczny „CVE Data Review” Jerry’ego Gamblina — dają wartości różniące się o mniej niż 1%; kierunek wszędzie ten sam.)

FIRST — organizacja, która m.in. rozwija system oceny ryzyka podatności — prognozowała na 2026 rok 59,4 tys. nowych CVE, po czym w czerwcu podniosła prognozę do ~66 tysięcy. Wśród powodów wymienia wprost odkrywanie podatności wspomagane przez AI. Mała uczciwość kronikarska, żeby liczby się nie gryzły: prognoza powstała w czerwcu, jeszcze przed letnim przyspieszeniem, a licznik 53,8 tys. to stan na 19 sierpnia — nie koniec roku. Przy obecnym tempie (ponad 230 nowych CVE dziennie) 2026 zamknąłby się bliżej 85 tysięcy. Prognozy zwyczajnie nie nadążają za rzeczywistością. Do tego dochodzi ciekawostka z gatunku „prawie się przewróciło”: w kwietniu 2025 program CVE o mało nie stanął z powodu wygasającego finansowania MITRE — umowę przedłużono dosłownie w noc przed terminem. Europa wyciągnęła z tego wniosek i ENISA uruchomiła własną bazę EUVD, działającą pod parasolem NIS2.

Teraz najważniejsze, żeby nie wpaść w panikę: z tej lawiny aktywnie eksploatowany jest tylko ułamek. Z badania Cyentia Institute i FIRST wynika, że jakiekolwiek ślady wykorzystywania w atakach ma około 6% wszystkich opublikowanych CVE. Z 35 tys. podatności z pierwszej połowy 2026 na liście aktywnie wykorzystywanych (katalog KEV amerykańskiej CISA — o nim za chwilę) wylądowało… 85 sztuk, czyli 0,24%.

Lekcja nr 1: Nikt — ani Ty, ani korporacja z tysiącem adminów — nie załata 48 tysięcy dziur rocznie. I nie musi. Wygrywa nie ten, kto łata wszystko, tylko ten, kto wie, które z jego dziur są naprawdę atakowane i te zamyka w pierwszej kolejności. Problem w tym, że na decyzję jest coraz mniej czasu — o czym niżej.

Czas od podatności do ataku: z 63 dni do minus siedmiu

Time-to-exploit (TTE) to średni czas od publicznego ujawnienia podatności do jej pierwszego wykorzystania w realnym ataku. Google Mandiant mierzy go od lat i ta seria danych to dla mnie najważniejszy wykres w całej branży:

• 2018–2019: 63 dni
• 2020–połowa 2021: 44 dni
• 2021–2022: 32 dni
• 2023: 5 dni
• 2024: −1 dzień
• 2025: około −7 dni (estymacja z raportu M-Trends 2026)

Jak czas może być ujemny? To proste i groźne zarazem: coraz większą część wykorzystywanych podatności stanowią zero-daye — dziury, które atakujący znajduje i wykorzystuje, zanim producent w ogóle o nich wie, więc zanim istnieje jakakolwiek łatka. Google Threat Intelligence Group naliczyło w 2025 roku 90 zero-dayów wykorzystywanych w atakach (rok wcześniej 78), z rekordowym, 48-procentowym udziałem produktów korporacyjnych — w tym, o ironio, systemów bezpieczeństwa: VPN-ów, firewalli i innych urządzeń brzegowych.

Zero-day to zresztą nie jedyny powód. Działa też patch gapping: w projektach open source poprawka bywa widoczna w publicznym repozytorium kodu na kilka dni przed oficjalnym wydaniem — atakujący porównują zmiany, odtwarzają z nich błąd i piszą exploit, zanim użytkownicy w ogóle dostaną aktualizację (klasycznie działo się tak z silnikiem V8 w Chrome). Do tego sam proces koordynowanego ujawniania: zanim łatka wyjdzie, o dziurze wie już zgłaszający badacz, zespół producenta, czasem uprzedzani przedpremierowo partnerzy — i każde z tych ogniw bywało źródłem przecieku. A producent nierzadko dowiaduje się o podatności właśnie dlatego, że ktoś wykrył trwający atak — łatka i numer CVE powstają dopiero wtedy, więc data pierwszej eksploitacji z definicji wypada przed „dniem zero”.

A kiedy łatka już jest? Też nie ma spokoju:

• Według VulnCheck 29% podatności z potwierdzoną eksploitacją w 2025 zostało zaatakowanych w dniu publikacji CVE albo wcześniej.
• Palo Alto Unit 42 obserwuje skanowanie internetu w poszukiwaniu podatnych systemów w kwadrans od ogłoszenia CVE.
• Mój ulubiony przykład skali „ludzkiej”: Cloudflare zarejestrował próby ataku na świeżą dziurę w JetBrains TeamCity 22 minuty po publikacji kodu proof-of-concept. Przez 22 minuty nie zdążysz zrobić spotkania statusowego, a co dopiero wdrożyć łatki.
• Dla urządzeń brzegowych (VPN-y, firewalle — wszystko, co „wystaje” do internetu) Verizon DBIR podaje medianę czasu do masowej eksploatacji: 0 dni.

Po drugiej stronie barykady tempo wygląda tak: mediana czasu pełnego załatania podatności z listy aktywnie wykorzystywanych to w firmach 43 dni (DBIR 2026) — i tylko 26% tych podatności jest w ogóle w pełni załatanych. Efekt? W tegorocznym raporcie DBIR eksploatacja podatności po raz pierwszy w 19-letniej historii badania została wektorem numer 1 początkowego dostępu do firm (31% włamań), detronizując kradzione hasła.

I jeszcze jedno tempo, już po włamaniu: CrowdStrike zmierzył średni breakout time — czas, w którym atakujący z pierwszej przejętej maszyny „rozchodzi się” po sieci — na 29 minut w 2025 roku. Rekordzista: 27 sekund.

Chcesz to obserwować na żywo? Zajrzyj na zerodayclock.com — dashboard agregujący dane o ponad 3,5 tys. realnie wykorzystywanych podatności (CISA KEV + VulnCheck). To pomiar niezależny od Mandianta, na innej próbie i innej metodologii — a pokazuje dokładnie ten sam kierunek: dla podatności z 2018 roku średni czas do ataku wynosił tam 2,3 roku, dla podatności z 2026 wynosi już minus 23 godziny (stan na 19.08.2026). Mediana przebiła progi tygodnia i jednego dnia, a próg jednej godziny ma paść około 2027. Zegar tyka coraz szybciej — dosłownie.

Lekcja nr 2: „Okno na łatanie” jako koncepcja przestało istnieć. Średnio atak zaczyna się przed łatką, a firmy łatają w tygodniach to, co atakowane jest w minutach. Dlatego obok planu łatania musisz mieć plan na sytuację, w której łatki jeszcze nie ma: ograniczanie ekspozycji, segmentację i wykrywanie. Skoro breakout trwa pół godziny — jeśli nie widzisz intruza w pół godziny, zobaczysz go dopiero na fakturze.

Ataki przez dziury w oprogramowaniu rosną lawinowo: z 14% do 31% włamań w dwa lata

Skoro podatności przybywa rekordowo, a czas do exploita stał się ujemny, powinno to być widać w statystykach realnych włamań. I jest — każdy duży zbiór danych o incydentach pokazuje ten sam kierunek: eksploatacja luk w oprogramowaniu to dziś najszybciej rosnące drzwi do firm:

• Verizon DBIR (ok. 22 tys. potwierdzonych naruszeń): udział eksploatacji podatności wystrzelił z 14% (edycja 2024) przez 20% (2025) do 31% (2026) — ponad dwukrotnie w dwa lata i wektor numer 1 po raz pierwszy w 19-letniej historii raportu, przed skradzionymi hasłami i phishingiem.
• IBM X-Force 2026: eksploatacja aplikacji wystawionych do internetu to już 40% obsłużonych incydentów — najczęstsza przyczyna, +44% rok do roku.
• Google Mandiant: exploity najczęstszym wektorem włamań szósty rok z rzędu (32% przypadków obsłużonych przez ich zespoły reagowania).
• Coalition (ubezpieczyciel cyber): 58% roszczeń ransomware zaczyna się od przejęcia urządzenia brzegowego (VPN, firewall). Współgra to z DBIR, gdzie ataki na urządzenia brzegowe urosły ośmiokrotnie rok do roku.
• CrowdStrike: 88% obserwowanej eksploitacji podatności z publicznym kodem PoC nastąpiło w ciągu 48 godzin od jego publikacji, a liczba zero-dayów wykorzystanych przed ujawnieniem wzrosła o 42% r/r.

Paliwem tej lawiny jest wszystko, o czym czytasz w tym wpisie: rekordowa podaż podatności, ujemny time-to-exploit, AI składające exploity w minuty — i sprzęt brzegowy, który z natury stoi wystawiony do internetu — często bez MFA i bez EDR-a, czyli oprogramowania wykrywającego intruzów, którego na takim zamkniętym „pudełku” zwyczajnie nie da się zainstalować — za to z uprawnieniami do całej sieci.

Dla porządku, bo uczciwość obowiązuje: to nie jest tak, że socjotechnika zmalała. Phishing trzyma stały poziom (~16% w DBIR, 22% u Unit 42) i zmienia format — na vishing (+134% r/r wg CrowdStrike), fałszywe strony CAPTCHA (+563%) czy telefon do helpdesku — a w danych z sektora MŚP (Sophos) korzeniem 67% incydentów wciąż jest tożsamość, bo tam napastnik nie exploituje, tylko po prostu się loguje. Rzecz w tym, że exploity dogoniły socjotechnikę i rosną najszybciej ze wszystkich wektorów — firma musi dziś bronić obu frontów jednocześnie.

Lekcja nr 3: Największa dynamika jest po stronie exploitów. Jeśli masz sprzęt brzegowy i publiczne aplikacje, tempo łatania i testy to Twój priorytet numer jeden — dokładnie z powodów opisanych w lekcji nr 2. Tylko nie finansuj tego z budżetu na MFA i procedury: socjotechnika nie odpuściła, zmieniła jedynie kanał. Atakujący zawsze wybierze tańszy z Twoich dwóch frontów.

Ile dziur łatają giganci — Microsoft, Google i spółka

Lubię tę perspektywę, bo najlepiej działa na osoby, które wciąż wierzą, że „porządny software nie ma błędów”. No to popatrzmy na najbogatsze firmy świata, z najlepszymi zespołami bezpieczeństwa, jakie można kupić:

• Microsoft w ramach comiesięcznych Patch Tuesday załatał 1 020 podatności w 2024 i 1 139 w 2025 roku (licząc za Zero Day Initiative), w tym 41 zero-dayów. A 2026 bije kolejne rekordy: 570 poprawek w samym lipcu i około 400 w sierpniu. Co ciekawe, Microsoft sam przyznaje, że część tej lawiny to zasługa wewnętrznego systemu wyszukiwania podatności opartego na AI — maszyny znajdują błędy szybciej niż ludzie.
• Google Chrome — przeglądarka, w której czytasz ten wpis — dostał w 2025 roku poprawki na ~250 podatności, w tym 8 zero-dayów aktywnie wykorzystywanych w atakach. W 2026 Google też wrzucił AI do szukania: trzy kolejne wydania Chrome załatały łącznie 1 442 błędy bezpieczeństwa, a agent oparty na Gemini znalazł m.in. dziurę w sandboxie, która siedziała w kodzie 13 lat. Google opisuje przy tym system agentów z osobnym agentem-krytykiem, który odsiewa fałszywe alarmy, zanim znalezisko trafi do ludzi.
• Mozilla (Firefox) — w samych kwietniowych wydaniach naprawiła 423 błędy bezpieczeństwa, wobec typowych 20–30 miesięcznie przez cały 2025. 271 z nich znaleziono z pomocą Claude Mythos Preview (nazwa wprost z technicznego wpisu Mozilli). Uczciwy komentarz CTO Firefoksa: AI nie znalazło niczego, czego nie znalazłby elitarny ludzki badacz — ale znalazło to hurtowo, a nie w tempie jednej dziury na tydzień.
• Jądro Linuksa — zespół kernela opublikował 432 CVE w około 30 godzin (19–20 lipca 2026). Dla porządku: kernel nadaje CVE bardzo szczodrze (każda poprawka, która może mieć skutki dla bezpieczeństwa), więc to nie są 432 krytyczne dziury — ale skala strumienia robi wrażenie tak czy inaczej.
• Oracle — lipcowy zbiorczy pakiet poprawek (Critical Patch Update) to blisko 1 450 łatek bezpieczeństwa obejmujących 1 235 unikalnych CVE. Poprzednie kwartały: od 309 do 481. Ponad czterokrotny skok w trzy miesiące — Oracle nie tłumaczy skąd, ale wzór jest identyczny jak u pozostałych.
• Apple — nie inaczej: sama drobna, „punktowa” poprawka iOS 26.6.1 z 17 sierpnia 2026 łata 42 podatności (większość w WebKit, silniku Safari). Tak dziś wygląda rutynowa aktualizacja telefonu, którego „nie trzeba aktualizować, bo przecież działa”.
• CISA KEV — prowadzony przez amerykańską agencję CISA katalog podatności, co do których jest pewność, że są wykorzystywane w realnych atakach (stąd nazwa: Known Exploited Vulnerabilities) — liczy dziś 1 674 pozycje, z czego 245 dopisano w 2025 roku. To jest właśnie ta krótka lista, od której powinno się zaczynać łatanie.

Na te pojedyncze przypadki nakłada się miara zbiorcza. Epoch AI policzyło CVE o wadze wysokiej i krytycznej publikowane przez 21 największych organizacji technologicznych (od Microsoftu po projekt Apache): w lipcu 2026 było ich około 2 500 — mniej więcej pięciokrotność miesięcznego rekordu sprzed kwietniowej zapowiedzi Claude Mythos Preview (ok. 490). Wykres u wszystkich wygląda tak samo: latami płasko, a potem ściana.

I tu ważna uczciwość: tych dziur nie napisało AI. Pisali je ludzie — przez dekady. To dług techniczny całej branży, który AI w rękach sprawnych badaczy zaczyna teraz spłacać hurtowo. Bardzo dobra wiadomość… z trzema haczykami, które widzę z okopów obrońcy:

• Ryzyko regresji: jak wdrożyć łatki na kilkaset podatności w jednym produkcie i niczego nie zepsuć? Bez środowiska testowego, kolejności wdrażania i planu wycofania — nijak.
• Powszednienie: kolejny tydzień, kolejne setki poprawek. Zmęczenie alertami to realny mechanizm — a wystarczy przegapić tę jedną, która akurat trafiła na listę KEV.
• Rosnąca asymetria: atakującemu wystarczy jedna dziura, obrońca musi ogarnąć wszystkie. AI zwiększyło podaż dziur i tempo po obu stronach — tyle że atakujący może sobie wybierać.

Lekcja nr 4: Skoro Microsoft, Google i Apple — z nieograniczonym budżetem — łatają u siebie ponad tysiąc dziur rocznie, to zgadnij, czy aplikacja, którą dla Twojej firmy napisał podwykonawca w pół roku, jest bezpieczna. Błędy w oprogramowaniu to nie wstyd, to matematyka i statystyka. Wstyd zaczyna się wtedy, gdy nikt u Ciebie tych błędów aktywnie nie szuka — bo wtedy pierwszym „testerem” zostaje przestępca. I nowa, druga połowa tej lekcji na 2026: skoro poprawki przychodzą setkami, o bezpieczeństwie decyduje też proces aktualizacji — testy, kolejność, rollback. AI nie jest maszynką do wypluwania CVE; najbardziej wzmacnia tych, którzy wiedzą, czego szukać. Zadbaj, żeby po Twojej stronie też tacy byli.

Skąd te wszystkie błędy? AI pisze kod szybciej, niż go zabezpieczamy

Skoro rekordy padają po stronie wykrywania podatności, uczciwie zapytać: a ile nowych błędów wprowadzamy? Tu 2025 rok przyniósł dwa badania, które powinny wisieć nad biurkiem każdego CTO:

Veracode przepytał ponad 100 modeli AI na 80 zadaniach programistycznych ze znanymi pułapkami bezpieczeństwa. Wynik: 45% zadań kończy się kodem z podatnością z listy OWASP Top 10 (to taka branżowa „lista przebojów” najczęstszych błędów w aplikacjach). W Javie odsetek przekracza 70%. I najciekawsze: kolejne, coraz nowsze modele piszą kod coraz ładniejszy składniowo — ale wcale nie bezpieczniejszy.

Apiiro przeanalizowało dziesiątki tysięcy repozytoriów kodu w dużych korporacjach i policzyło, że programiści wspierani przez AI dowożą 3–4 razy więcej kodu — ale generują 10 razy więcej problemów bezpieczeństwa. Liczba ścieżek eskalacji uprawnień (czyli sposobów, żeby ze zwykłego konta stać się adminem) w kodzie z AI wzrosła o 322%. AI pięknie eliminuje literówki i błędy składni — a w zamian seryjnie produkuje błędy architektury i logiki, czyli dokładnie te, których nie widać na pierwszy rzut oka.

Domknijmy pętlę: FIRST jako jeden z powodów podniesienia prognozy CVE na 2026 podaje… odkrywanie podatności wspomagane przez AI (same zgłoszenia w GitHub Security Advisories urosły rok do roku o 449%). Czyli: AI pisze więcej podatnego kodu, AI znajduje więcej podatności w cudzym kodzie, a my — ludzie — stoimy pośrodku z tym samym co zawsze budżetem na łatanie. Jedna łyżka miodu: według VulnCheck z ponad tysiąca podatności przypisywanych odkryciom AI realnie wykorzystano w atakach na razie 1,3%. Na razie.

Lekcja nr 5: AI w programowaniu to koparka: kopie szybciej i fundamenty, i doły. Jeśli Twoje zespoły (albo podwykonawcy) używają AI do kodowania — a używają, nawet jeśli twierdzą inaczej 😈 — to przegląd bezpieczeństwa i testy muszą być częścią procesu wytwarzania, nie jednorazową akcją po wdrożeniu.

Nowe zagrożenia AI: phishing, deepfake i włamania na autopilocie

Wolumen ataków rośnie od lat: Check Point policzył, że przeciętna organizacja odpierała w 2025 roku średnio 1 968 ataków tygodniowo — o 70% więcej niż dwa lata wcześniej, a w lipcu 2026 licznik podskoczył do 2 336. Ale sama liczba to nie jest ta nowość, która jest dla mnie najciekawsza (i najstraszniejsza) zawodowo. Nowością jest jakość i automatyzacja:

Phishing pisze już AI, nie „książę z Nigerii”. KnowBe4 w tegorocznym raporcie ocenia, że 86% ataków phishingowych jest wspieranych przez AI. Badanie opisywane w Harvard Business Review pokazało, że na phishing w pełni wygenerowany przez AI nabrało się 60% uczestników — tyle samo, co przy wiadomościach pisanych przez ludzkich ekspertów od socjotechniki. Era „wykryjesz oszustwo po błędach językowych” skończyła się definitywnie.

Deepfake wszedł do biur. Entrust — na podstawie danych ze swoich systemów weryfikacji tożsamości — szacuje w raporcie Identity Fraud 2025, że próba oszustwa z użyciem deepfake’a zdarza się średnio co 5 minut. Symbolem pozostaje sprawa biura projektowego Arup z początku 2024 roku. I nie jest to miejska legenda: incydent potwierdziła policja w Hongkongu, a sama firma przyznała, że użyto sfałszowanych głosów i wizerunków. Pracownik po wideokonferencji z deepfake’ami własnego CFO i kolegów zrealizował 15 przelewów na łącznie 25,6 mln dolarów. Nie kliknął w podejrzany link. Widział „na własne oczy” swoich przełożonych.

Włamania przechodzą na autopilot. Trzy udokumentowane kamienie milowe z ostatnich kilkunastu miesięcy:

• „Vibe hacking”: Anthropic opisał operację, w której jeden przestępca użył agenta AI do przeprowadzenia kradzieży danych i szantażu wobec 17 organizacji w miesiąc — AI robiła rekonesans, zbierała poświadczenia, analizowała finanse ofiar i wyliczała „optymalny” okup (żądania sięgały 500 tys. dolarów). Jednoosobowa grupa APT.
• Pierwsza kampania szpiegowska prowadzona głównie przez AI: w listopadzie 2025 Anthropic ujawnił operację powiązaną z państwem, w której agent AI wykonał 80–90% pracy przy atakach na ~30 celów, a człowiek podejmował decyzje w 4–6 punktach na całą kampanię.
• PromptLock — pierwszy znany ransomware napędzany lokalnym modelem AI (wykryty przez ESET; na szczęście okazał się projektem badawczym uniwersytetu NYU — ale koncept jest już publiczny). Do tego frameworki typu HexStrike-AI, po których premierze przestępcy chwalili się skróceniem czasu eksploitacji świeżych podatności „z dni do poniżej 10 minut”.

Do kompletu klasyka w nowym wydaniu: ransomware. W 2025 na stronach wycieków opublikowano dane 7 458 firm-ofiar (+30% rok do roku), a nowych grup przestępczych przybyło 73. Automatyzacja obniżyła próg wejścia także po ciemnej stronie rynku pracy.

Lekcja nr 6: AI nie wymyśliła ani jednego nowego typu ataku. Zrobiła coś gorszego: zdjęła z ataków koszt i czas, a ich jakość podniosła do poziomu, przy którym „czujny pracownik” przestaje być zabezpieczeniem. Czujność musi zostać zastąpiona procedurami, które działają nawet wtedy, gdy człowiek uwierzy oczom i uszom — o tym w sekcji „co robić”.

Polska w liczbach: ponad 700 incydentów dziennie

Na koniec danych — nasze podwórko, żeby nikt nie myślał, że to problemy Doliny Krzemowej:

• CERT Polska przyjął w 2025 roku 658 320 zgłoszeń i zarejestrował 260 783 unikalne incydenty — wzrost o 152% rok do roku. To ponad 700 incydentów dziennie. Króluje phishing i oszustwa (97% incydentów); przestępcy najczęściej podszywali się pod OLX (28,5 tys. incydentów) i Allegro (22,5 tys.). Tempo w 2026 nie spada: w samym lipcu CERT zarejestrował 31,2 tys. incydentów (+12% r/r), a lista ostrzeżeń przed niebezpiecznymi domenami urosła od stycznia o 158 tys. wpisów.
• Według Check Point przeciętna polska organizacja odpierała w ostatnim roku 1 854 ataki tygodniowo (+15% r/r) — odrobinę poniżej średniej europejskiej, ale kierunek ten sam.
• KPMG w „Barometrze cyberbezpieczeństwa 2026″ (badanie wśród 100 średnich i dużych firm): 96% polskich firm odnotowało w 2025 roku przynajmniej jeden incydent bezpieczeństwa. Rekord w 9-letniej historii tego badania.
• A jak z odpornością? W raporcie „Cyberbezpieczeństwo — Trendy 2026″ (Xopero) tylko 29% firm deklaruje wysoką lub bardzo wysoką cyberodporność, a 64% nie ma cyberubezpieczenia.

Lekcja nr 7: Zestaw tych dwóch liczb mówi wszystko: incydent miało 96% firm, wysoką odporność deklaruje 29%. Pytanie „czy mnie zaatakują” jest statystycznie rozstrzygnięte. Otwarte pozostają dwa inne: czy to zauważysz i ile Cię to będzie kosztowało.

Co z tym zrobić — 6 rzeczy, które wynikają wprost z danych

Nie zostawię Cię z samymi wykresami. Każdy punkt poniżej wynika wprost z liczb wyżej — żadnej filozofii:

1. Zinwentaryzuj to, co „wystaje” do internetu. Mediana czasu do masowej eksploatacji urządzeń brzegowych to 0 dni, a prawie połowa zero-dayów 2025 celowała w sprzęt korporacyjny — VPN-y i firewalle. Jeśli nie masz aktualnej listy własnych systemów widocznych z internetu, atakujący zrobi ją za Ciebie (w kwadrans, jak pamiętasz).
2. Łataj według ryzyka, nie według liczby. 48 tys. CVE rocznie vs 245 nowych pozycji na liście realnie wykorzystywanych (KEV). Krytyczne i wystawione do internetu — w 24–72 godziny; resztą zarządzaj procesowo. Mediana 43 dni na załatanie aktywnie atakowanej dziury to dziś proszenie się o kłopoty.
3. Miej plan na czas, gdy łatki nie ma. Skoro średni time-to-exploit jest ujemny, część ataków z definicji przyjdzie przed łatką. Ogranicz ekspozycję usług, segmentuj sieć, przygotuj wyłączniki awaryjne („co możemy odciąć w godzinę, nie zabijając biznesu?”).
4. Zainwestuj w wykrywanie, nie tylko w mury. Breakout time to 29 minut, a przekazanie dostępu między przestępcami potrafi trwać 22 sekundy. Monitoring (własny SOC, usługa MDR — cokolwiek pasuje do skali firmy), który realnie ogląda alerty w nocy i w weekend, przestał być luksusem korporacji.
5. Procedury odporne na deepfake. Skoro 60% ludzi nabiera się na phishing od AI, a „prezes na wideo” może być wygenerowany — żadna pojedyncza osoba nie powinna móc zrealizować nietypowego przelewu ani zmiany rachunku kontrahenta. Oddzwonienie na znany numer, drugi podpis, limity. Nudne? Nudne właśnie ratuje miliony.
6. Przetestuj się, zanim zrobi to ktoś inny. Microsoft i Google łatają po tysiąc dziur rocznie, bo ktoś ich aktywnie szuka. W Twojej skali dokładnie tę rolę pełni test penetracyjny (kontrolowany atak na Twoje systemy, po którym dostajesz listę dziur i sposobów ich zamknięcia) albo program bug bounty. Jeśli chcesz wiedzieć, ile to kosztuje w Twojej skali — policz w 2 minuty w moim kalkulatorze wyceny, a gdy wolisz pogadać: odezwij się.

FAQ

Ile podatności (CVE) wykryto w 2025 roku?

48 449 nowych CVE (cvedetails.com, wg bazy NVD; inne zestawienia podają 48,2–49,9 tys.). W 2026 licznik przebił cały poprzedni rok już 19 sierpnia (53 803). Prognoza FIRST na cały 2026: około 66 tysięcy.

Co to jest time-to-exploit i ile wynosi?

To średni czas od publicznego ujawnienia podatności do jej pierwszego użycia w ataku. Według badań Google Mandiant spadł z 63 dni (2018–2019) do około minus 7 dni w 2025 — ataki średnio zaczynają się przed publikacją łatki, bo rośnie udział zero-dayów.

Jak szybko przestępcy wykorzystują nowo ujawnione podatności?

Skanowanie internetu zaczyna się w ciągu ok. 15 minut od ogłoszenia CVE (Unit 42), ~29% podatności z potwierdzoną eksploitacją było atakowanych w dniu publikacji lub wcześniej (VulnCheck, 2025), a dla urządzeń brzegowych mediana czasu do masowej eksploatacji to 0 dni (Verizon DBIR).

Czy ataki przez luki w oprogramowaniu naprawdę rosną?

Tak, najszybciej ze wszystkich wektorów: w Verizon DBIR udział eksploatacji podatności wzrósł z 14% do 31% włamań w dwa lata (wektor nr 1 po raz pierwszy w historii raportu), a u IBM X-Force to już 40% incydentów (+44% r/r). Phishing przy tym nie znika (16% w DBIR, 22% u Unit 42) — zmienia formę na vishing i ClickFix, więc oba fronty trzeba traktować poważnie.

Czy kod pisany przez AI jest bezpieczny?

Nie domyślnie. Veracode: 45% zadań programistycznych wykonanych przez modele AI kończy się kodem z podatnością. Apiiro: zespoły z AI piszą 3–4× więcej kodu, ale generują ~10× więcej problemów bezpieczeństwa.

Dlaczego w 2026 roku łata się rekordowe liczby podatności?

Bo do szukania błędów wprzęgnięto AI. Mozilla naprawiła w kwietniowych wydaniach 423 błędy (typowo 20–30 miesięcznie), z czego 271 znalazła z pomocą Claude; Chrome załatał 1 072 błędy w dwóch wydaniach; Oracle wydał blisko 1 450 łatek w jeden kwartał. Według Epoch AI liczba poważnych CVE od 21 największych organizacji sięgnęła w lipcu 2026 ok. 2 500 — około 5× rekordu sprzed ery agentów AI.

Ile ataków tygodniowo odpiera firma w Polsce?

Średnio 1 854 ataki tygodniowo na organizację (Check Point, sierpień 2026, +15% r/r). CERT Polska zarejestrował w 2025 roku 260 783 incydenty — ponad 700 dziennie.

Podsumowanie

Wszystkie te liczby opowiadają jedną historię: wyścig, który kiedyś mierzyliśmy w tygodniach, dziś mierzymy w minutach — a miejscami czas stał się ujemny. Podatności przybywa najszybciej w historii, exploit wyprzedza łatkę, AI obniżyła koszt ataku niemal do zera, a jednocześnie 96% polskich firm ma już incydent za sobą. Dobra wiadomość jest przewrotna: skoro realnie atakowany jest ułamek podatności, to wygrywają nie ci z największym budżetem, tylko ci, którzy znają własny teren, łatają według ryzyka i widzą intruza w minutach, nie miesiącach. Tego się da nauczyć — i od tego się zaczyna każdy dobry plan bezpieczeństwa. ✔️

A jeśli chcesz sprawdzić, jak Twoja firma wygląda z perspektywy atakującego — wiesz, gdzie mnie znaleźć.

Źródła danych użytych we wpisie

• cvedetails.com — statystyki CVE według lat (stan 19.08.2026); Jerry Gamblin — „CVE Data Review” (jerrygamblin.com)
• FIRST — Vulnerability Forecast 2026 (luty i czerwiec 2026)
• Google Mandiant — „Time-to-Exploit Trends” (2024) i „M-Trends 2026″
• Google Threat Intelligence Group — „2025 Zero-Days in Review” (marzec 2026)
• VulnCheck — „State of Exploitation” (styczeń i lipiec 2026)
• Verizon — Data Breach Investigations Report 2024–2026
• IBM — X-Force Threat Intelligence Index 2025 i 2026; Sophos — Active Adversary Report 2025 i 2026; Palo Alto Unit 42 — Global Incident Response Report 2025 i 2026
• Coalition — Cyber Threat Index 2025; ENISA — Threat Landscape 2025; Red Canary — Threat Detection Report 2026
• Cloudflare — Application Security Report 2024
• CrowdStrike — Global Threat Report 2026
• Cyentia Institute & FIRST — „A Visual Exploration of Exploitation in the Wild” (2024)
• Zero Day Initiative / Tenable — podsumowania Patch Tuesday 2024–2026; Apple — security releases (iOS 26.6.1, 08.2026)
• Mozilla Hacks — „Behind the scenes: hardening Firefox” (05.2026); Google Security Blog — „Stronger with every update” (07.2026)
• Epoch AI — „Disclosed CVEs: July Reached 5× the Pre-Mythos Record” (07.2026)
• Oracle — Critical Patch Update July 2026; The Register — „Linux kernel team publishes 432 CVEs in two days” (07.2026)
• Zero Day Clock (zerodayclock.com) — agregator danych o eksploitacji (CISA KEV + VulnCheck)
• Veracode — GenAI Code Security Report 2025; Apiiro — analiza kodu AI (2025)
• Check Point Research — raporty 2025–2026; KnowBe4 — Phishing Threat Trends 2026
• Anthropic — raporty threat intelligence (sierpień i listopad 2025); ESET — PromptLock (2025)
• Entrust Identity Fraud Report 2025; Searchlight Cyber — ransomware 2025
• CERT Polska — Raport roczny 2025 i podsumowanie miesięczne za lipiec 2026; KPMG — Barometr cyberbezpieczeństwa 2026; Xopero — „Cyberbezpieczeństwo — Trendy 2026″; WEF — Global Cybersecurity Outlook 2026